我又去kan了客户端侧的日志：

lac_intervalheart_offline_timesreceive_timeout，这三个参数kan着不起眼，但它们的组合直接决定了你的授权系统是稳如老狗还是凌晨三点给你打

说实话，我一开始用的crontab方式，觉得简单。

后来发现一个问题——crontab只管拉起进程，不管进程是不是僵死了。

有次lac_agent进程还在但实际上Yi经卡在一个网络IO上不动了crontab一kan进程在就不重新拉，结果心跳断了二十分钟才发现。

事情是这样的，某政务云项目，70多台KES实例跑在LAC集中授权模式下一直风平浪静。

结果某天凌晨三点多，值班群里突然炸了——二十多台客户端同时掉授权，数据库虽然没直接挂，但授权状态全标成了offline，业务方那边开始报WARNING日志，告警一个接一个。

我当时睡得正香，被

到了现场第一反应是查授权有效期，用 get_license_validdays 一查，还剩200多天排除了过期。

再查 get_license_info，授权文件路径、版本信息dou没问题。

但问题是一个两个断了我Neng理解，二十多台同时断，这不太正常。

那就只剩一种可Neng——心跳断了。

# 客户端侧lac_agent日志tail - /opt/Kingbase/ES/V9/Server/log/lac_agent.log

日志里反复出现一条：connect to lac server timeout, retry after 30s。

先把基本原理捋清楚，不然后面调参的部分kan不懂。

LAC这套系统的设计思路其实没问题——C/S架构集中管授权，客户端自动心跳保活，服务端自动回收闲置授权。

比传统的一台一台去放license.dat文件强太多了特别是规模上到几十台上百台的时候，传统方式光是换一轮授权就Neng折腾一星期。

LAC心跳链路计算

第一个：lac_interval，客户端校验license的间隔时间，单位是分钟，取值范围5~。

# lac_agent.conflac_interval =

第二个：heart_offline_times，服务端等待客户端心跳的容忍次数，取值范围3~，默认3。

# lacserver.confheartofflinetimes = 客户端Zui大掉线判定时间 = lacinterval × heartofflinetimes 这个时间意味着什么？意味着一个客户端从"Zui后一次心跳成功"到"被服务端判定为offline"，Zui长要等这么久。 在这个窗口内，Ru果客户端恢复了心跳通信，就不会被判掉线。 默认配置下5分钟 × 3次 = 15分钟。 也就是说一个客户端从"Zui后一次心跳成功"到"被服务端判定为offline"，Zui多需要15分钟。 为什么百度不收录我的文章？ 因为hen多因素会影响百度的收录，比如网站权重、内容质量、关键词密度等等。 咱就是说你得确保你的内容对用户有价值，而不是简单地堆砌关键词。 你kan，像这种技术类文章，Ru果Neng解决用户的实际问题，自然就会被收录。 但Ru果只是泛泛而谈，用户kan了也没啥用，那就没啥意义了。 说白了就是要写出用户真正需要的东西，这样才Neng提高收录的概率。 哈哈，说起来容易Zuo起来难，你懂的。 回到事故现场。我先去LAC服务端翻了日志： # 查kanLAC服务端日志tail - /home/lac/KingbaseLAC/log/lacserver.log | grep "offline" 日志里密密麻麻全是offline记录，时间戳集中在凌晨3:02到3:17之间。 也就是说十五分钟内，二十多台机器被陆续判定掉线。 我靠。 问题在哪呢？当天凌晨有一波自动化运维任务在跑，大概二十多台机器同时在Zuo全库备份， 备份脚本里会调用 getlicenseinfo 查询授权状态，这个查询走的是数据库本地连接，不会经过LAC 。 但问题是备份任务同时也在Zuo一些资源巡检，其中一项就是调lacagent的状态接口——这个接口是lacagent对外暴露的一个轻量级HTTP端点， 巡检脚本去读它。 二十多台机器同时被巡检脚本扫了一遍， lacagent的CPU占用瞬间飙上去了再加上备份本身的IO压力， lacagent的心跳发送就开始延迟。 而服务端那边的 receivetimeout 只有5秒，心跳包稍微慢一点就超时丢弃了。 这时候我才意识到——不是客户端不发了是发了服务端收不到，或者说收到了但处理不过来。 短期止血hen简单，先把 heartofflinetimes 从3调到7，把判定离线的时间窗口从15分钟拉到35分钟： # lacserver.confheartofflinetimes = 然后重启LAC服务： ./bin/lacctl restart 客户端那边不用改配置，因为 heartofflinetimes 是服务端的判定参数。 重启完服务之后Yi经offline的客户端会在下一个心跳周期自动重新申请授权， 因为 enableautorefresh 默认是1，也就是授权失效后自动申请。 大概过了十分钟， 服务端日志里陆续出现 client re-registered, license granted 的记录， 授权恢复了。 事后复盘，我Zuo了几件事： 第一，把lacinterval从5分钟调到15分钟。 # lacagent.conflacinterval = 花点时间算清楚你的环境需要多大的心跳窗口，比出了事半夜爬起来排查强一百倍。 第二，把receivetimeout从5调到15 。 # lacserver.confreceivetimeout = 但根本问题没解决——巡检脚本不应该在业务高峰期去扫lacagent状态。 Zui后改成凌晨5点以后才允许跑巡检， 备份任务也Zuo了分批，每批不超过5台。 官方文档里提供了两种启动方式： 一种是 lacagent start 直接跑，会自动写crontab每5分钟尝试拉起一次； 另一种是用 lacagentd.sh 注册成systemd服务。 后来换成了systemd方式， 配了个 WatchdogSec 和 RestartSec

# /etc/systemd/system/lacagentd.serviceDescription=KingbaseLAC Agent DaemonAfter=network.targetType=forkingExecStart=/opt/Kingbase/ES/V9/Server/bin/lacagent start -nExecStop=/opt/Kingbase/ES/V9/Server/bin/lacagent stop -nRestart=on-failureRestartSec=WatchdogSec=WantedBy=multi-user.target

这样Ru果lacagent进程挂了或者卡死了 systemd会在30秒后自动重启。比crontab靠谱多了。 不过有个坑要注意—— lacage ntd.sh 注册服务需要root权限，而且Ru果你的KES是跑在kingbase用户下的，得确保systemd服务文件里的 不然启动后文件权限会乱。 说白了就是：巡检脚本把lac_agent打满了 → 心跳延迟 → 服务端5秒超时 → 连续3次失败 → 批量offline。

强制替换授权的注意事项 还有一种情况——授权文件本身没过期，但你想主动换一个， 这时候用 -f 参数强制替换： # 手动申请授权./lac _agent -h . - p - t Ent -f 这个操作不会检查当前授权是否有效，直接向服务端申请新授权并替换。 好处是快， 坏处是Ru果服务端那边的授权池Yi经满了 强制申请会失败，而且原来的授权可NengYi经被回收了你就两头空了。

所以生产环境用 - f 之前，先在服务端WEB管理界面上确认一下授权池还有没有余量。

---